FortiMail の CVE-2026-104286：悪用中の重大脆弱性に修正版、更新前に侵入の有無を確認

自社で FortiMail（スパム、フィッシング、マルウェアを受信箱に届く前に止める Fortinet のメールゲートウェイ）を使っているなら、これは次のメンテナンス枠まで待てない注意喚起です。脆弱性 CVE-2026-104286（CVSS 9.8）は、ログイン不要で機器上に任意のファイルを書き込めるもので、Fortinet 自身が すでに悪用されている ことを認めています。

良い知らせは、10月5日から修正版が提供されていることです。注意すべきなのは、アップデートだけでは不十分だという点です。パッチ適用前に侵入されていた場合、攻撃者が仕込んだものは残ったままになります。以下、分かっていること、影響を受ける範囲、正しい対応の順番をまとめます。

どのような脆弱性か

2026年10月1日に公開されたアドバイザリ FG-IR-26-175 によると、パストラバーサル（CWE-22）と NULLバイトの不適切な処理（CWE-158）という2つの弱点の組み合わせです。細工された HTTP/HTTPS リクエストにより、Web サービスが本来書き込むべきディレクトリの外にファイルを書き込めてしまいます。Fortinet は影響を「不正なコードまたはコマンドの実行」と評価し、悪用が確認済み としています。

脆弱なコンポーネントは IBE（Identity Based Encryption）に関係しています。IBE は、社外の受信者が Web ポータル経由で暗号化メールを開けるようにする FortiMail の機能です。IBE はポータルがインターネットから到達できなければ機能しないため、多くの機器が構造的に公開状態にあります。

この脆弱性は Fortinet の製品セキュリティチームの Gwendal Guégniaud 氏が社内で発見しました。攻撃者が誰か、いつから攻撃が始まったか、何社が被害を受けたかは公表されていません。

米国の CISA は同日、この CVE を KEV（悪用が確認された脆弱性）カタログに追加し、連邦機関に10月4日までの対応を求めました。さらに、指令 BOD 26-04 に基づく フォレンジックによるトリアージが必要 な項目としています。つまり、パッチを当てるだけでなく、侵入の有無を確認しなければなりません。この指令については Ivanti Sentry の記事でも解説しました。

影響を受けるバージョン

注意点は3つです。

• FortiMail Cloud は Fortinet が10月5日に修正済みです（全ファームウェアを 7.6.7 または 8.0.2 に更新）。クラウド版の利用者は対応不要です。
• 7.2 ブランチには修正版が提供されません。 7.2 を使っている場合は 7.4.9 以降への移行計画が必要です。なお、7.4.9 より前の 7.4 も脆弱です。
• ThreatFrontier によると、Fortinet が NVD に登録したデータには FortiMail 7.0.0〜7.0.9 も含まれていますが、アドバイザリの表には 7.0 の記載がありません。7.0 を使っている場合は、公開状態にあるものとして扱ってください。

すぐに更新できない場合：公式の回避策

更新できるまでの間、Fortinet は効果の高い順に次の3つを示しています。

1. IBE を無効化する（IBE なしで業務が回る場合）：GUI の Encryption → IBE → IBE Service を「off」に設定。CLI の場合はアドバイザリに config system encryption ibe / set status disable / end のコマンドが記載されています。
2. FortiMail の Webメールをインターネットから切り離す、または信頼できるプライベートネットワークからのアクセスのみに制限する。
3. FortiMail の前段に WAF（Web アプリケーションファイアウォール）がある場合は、アドバイザリに記載された POST リクエストをブロックする。

これでこの先のリスクは下がりますが、すでに起きた侵入は元に戻りません。

更新の前に侵入の有無を確認する

多くの現場で飛ばされがちな手順です。アップデートは脆弱性を修正しますが、攻撃者が作成したファイル、アカウント、スケジュールタスクは削除しません。推奨される順番は 回避策 → 調査 → 更新 です。

Fortinet はアドバイザリ内で侵害指標（IoC）を公開しています。送信元 IP アドレス2件と、検索すべきログのパターンです。本記事では指標そのものは転載しません。必ず最新の 公式アドバイザリ を参照してください。概要としては、次のような兆候が挙げられています。

• 見覚えのない root 権限で実行される定期タスク（cron）
• 送信元が「(null)」の管理者ログアウト の記録
• 不明な リモートサーバーへコピーを送る「アーカイブアカウント」の設定
• 暗号化ログのデコードエラーや、内部ユーザーのログイン失敗

多くの企業にとって最も深刻なのはアーカイブアカウントです。メールゲートウェイは すべての メールを通過させるため、不正なアーカイブルールは気づかれにくく、継続的なメール窃取につながります。ThreatFrontier によれば、当初のアドバイザリには追加・改ざんされたシステムファイルの一覧（ハッシュ値付き）も載っていましたが、その後ページから削除されています。

兆候が見つかった場合は：

• 機器を 侵害されたもの として扱う
• 操作する前に ログとディスクを保全 する
• 不審なファイルを消すだけでなく、クリーンなイメージから再構築 する
• 管理者パスワード と、機器に保存された鍵や証明書を変更する
• アーカイブされたメールが読まれた可能性 を前提に、報告・通知義務を確認する

中小企業にとってなぜ重要か

メールゲートウェイ、VPN、境界機器は、インターネットに公開され、強い権限を持ち、通常のサーバーほど監視されないことから、攻撃者に好まれる標的になっています。最近の SonicWall SMA1000 でも同じ傾向が見られました。国内でも、相次ぐ情報漏えい に関する JPCERT/CC と IPA の注意喚起が、「公開機器の既知の脆弱性」を最初に確認すべき項目に挙げています。

中小企業では、リスクは主に3か所に潜んでいます。「業者が設置した」まま誰も覚えていない機器、移行したがらない古いブランチ（7.2 や 7.0）、そしてログを見る担当者がいないことです。侵害された FortiMail は、会社の正規サーバーから送られるため 本物に見えるフィッシング の送信にも悪用され得ます。

クイックチェックリスト

• 支店、DMZ、検証環境を含め、社内の すべての FortiMail とそのバージョンを洗い出す。
• 影響を受けるバージョンがあれば、今日中に 回避策（IBE 無効化または Webメールの遮断）を適用する。
• 公式アドバイザリの指標をログで検索し、すべてのアーカイブ・転送ルールを見直す。
• 兆候なし：8.0.2、7.6.7、7.4.9（以降）に更新する。
• 兆候あり：隔離、証拠保全、再構築、認証情報の変更を行う。
• 7.2（または 7.0）の場合：7.4.9 以降への移行を計画し、それまで回避策を維持する。
• FortiMail Cloud を利用中なら：提供元やパートナーに確認を。ただし Fortinet は対応不要としています。

まだ分かっていないこと

Fortinet は被害件数、攻撃の発信元、悪用リクエストの技術的詳細を公表していません。防御側に必要なのはバージョン、回避策、調査であり、それらを探す必要はありません。アドバイザリと KEV カタログの更新を引き続き追い、重要な変更があれば本記事を更新します。

参考資料

• Fortinet PSIRT: FG-IR-26-175 — FortiMail (CVE-2026-104286)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-104286)
• NVD: CVE-2026-104286
• Help Net Security: Critical FortiMail zero-day exploited in the wild (CVE-2026-104286)
• CIS / MS-ISAC Advisory 2026-108: A Vulnerability in Fortinet FortiMail Could Allow for Arbitrary Code Execution
• ThreatFrontier: Exploited FortiMail Flaw Now Patched — Check for Compromise First

---

あなたのビジネスにも導入しませんか？

KGA ITは、中小企業向けにAIアシスタント、業務自動化、Webサイトの導入を支援しています。ご相談は無料で、24時間以内にご返信します。プランは月額5,000円から。

• 電話: 080-9732-1062
• メール: kga-it@outlook.com
• お問い合わせページ: kga-it.com/ja/contact